Ouais c'est bien ce que je pensais, mais ça m'oblige a modifier tout mes articles existant pour adapter le tout au bbcode,
C'est pour ça que je me demandais s'il y avait d'autre solution.
m'enfin tant pis... y'a plus qu'a ^^

Par contre, ou est-ce que je pourrais trouver une fonction bbcode correcte (encode et decode), je trouve pas grand chose de bien sur internet.
Je ne peux pas utiliser l'extension PECL BBCode de PHP car je suis sur un mutualisé chez 1and1 qui ne me permet pas d'activer cette extension.

j'ai bien trouver un petit bout de code que j'ai adapter:

Code:

function encode($string){
	$search = array(
		'#<b>(.*?)<\/b>#is',
		'#<strong>(.*?)<\/strong>#is',
		'#<i>(.*?)<\/i>#is',
		'#<em>(.*?)<\/em>#is',
		'#<u>(.*?)<\/u>#is',
		'#<img src="(.*?)">#is',
		'#<a href="(.*?)">(.*?)<\/a>#is',
		'#<code>(.*?)<\/code>#is',
		'#<pre class="brush:(.*?);">(.*?)<\/pre>#is',
		'#<span style="font-size:(.*?);">(.*?)<\/span>#',
		'#<span style="color:(.*?);">(.*?)<\/span>#'
	);
	$replace = array(
		'[b]$1[/b]',
		'[b]$1[/b]',
		'[i]$1[/i]',
		'[i]$1[/i]',
		'[u]$1[/u]',
		'[img]$1[/img]',
		'[url=$1]$2[/url]',
		'[code]$1[ /code]',
		'[code=$1]$2[ /code]',
		'[font size=$1]$2[/font]',
		'[font color=$1]$2[/font]',
	);

	return preg_replace($search, $replace, $string);
}

function decode($string){
	$search = array(
		'#\[b\](.*?)\[\/b\]#is',
		'#\[i\](.*?)\[\/i\]#is',
		'#\[u\](.*?)\[\/u\]#is',
		'#\[img\](.*?)\[\/img\]#is',
		'#\[url\=(.*?)\](.*?)\[\/url\]#is',
		'#\[code\](.*?)\[\/code\]#is',
		'#\[code\=(.*?)\](.*?)\[\/code\]#is',
		'#\[font size\=(.*?)\](.*?)\[\/font\]#is',
		'#\[font color\=(.*?)\](.*?)\[\/font\]#is'
	);
	$replace = array(
		'<b>$1</b>',
		'<i>$1</i>',
		'<u>$1</u>',
		'<img src="$1">',
		'<a href="$1">$2</a>',
		'<pre>$1</pre>',
		'<pre class="brush:$1;">$2</code>',
		'<span style="font-size:$1;">$2</span>',
		'<span style="color:$1;">$2</span>'
	);
	return preg_replace($search, $replace, $string);
}

Mais là, il y a un problème: par exemple si on poste [ url=google.fr" onclick="alert(0)]osef[/url]
le Alert est intérprété

Tien! d'ailleurs je viens de voir par erreur que sur ce forum, le onclick="alert(0)" s'affiche dans la source mais n'est pas interprété, Il y a une surcouche javascript qui empêche les events ?
serrait-ce la solution ?


Une idée ?

En attendant je continue de regarder ce qu'il existe; sûrement la fonction des PHPbb devrais aller, si elle peux s'adapter.[/code][/code]

Heuu.. dans le cadre d'un brute force ou d'une attaque par dico sur un hash, ça change pas grand chose que ça soit l'un ou l'autre algo (mdX / SHA-X ...) il me semble.
Alors okay, il peut y avoir une légère différence entre le temps d'exécutions des algos, mais dans ce cas la il faut choisir le hashage le plus rapide et non pas le plus simple.

Ce qui va compter c'est combien de possibilités tester en X secondes.

C'est pour le cryptage que ça change.


Après, effectivement, je ne crois pas que ça avantage d'avoir le pass hasher de plusieurs façons, Ormis peut-être avec les attaques par collision; mais la je m'éloigne de mes connaissances; je te conseil de te renseigner sur ce sujet.

Je t'avoue que j'ai eu un doute 

Je crois qu'on s'est mal compris ^^'
C'est déjà développé en php.

Le truc, c'est que comme je suis le seul à avoir accès au backoffice, je n'ai pas pris la peine de sécuriser l'insertion de news dans Mysql.

Sauf que maintenant j'aimerais que n'importe quel utilisateur puisse proposer sa news.
Donc, pour faire simple, j'ai mis un editeur WYSIWYG (CKEditor en l'occurrence) à la dispo des utilisateurs.

A l'enregistrement de la news, si je passe un simple mysql_real_escape_string sur ma varible texte, je suis assujeti au XSS permanente (si l'utilisateur entre du javascript dans la source de CKEditor, ou qu'il bidouille le formulaire); Alors que si j'ajoute un strip_tags(), j'empèche alors la mise en forme du texte.

Comme solution, j'ai pensé rajouter un "strip_tags($text, "<div><span><br><a><img>");" sur mes variables, ce qui empêche déjà les balises "<script>", mais si l'utilisateur rajoute "onclick" sur un lien ou sur un image ça pose toujours problème.

Pour finir, j'ai trouvé une dernière solution, qui est de remplacer, avant enregistrement, toutes les balises autorisées en BBCode, et de faire l'inverse avant l'affichage de la news; mais je ne suis pas sur que ça soit très propre.

Voila pourquoi j'aurais besoin de vos avis/conseils

Heu... php ? xD

Désolé mais je te suis pas du tout là 
Tu pourrais développer ?

Bonjour à tous

j'ai développé il y a déjà quelques temps un système de news avec backoffice.
étant seul admin, je n'ai pas pris le temps de beaucoup sécuriser l'insertion de nouvelle news; mais voila, j'aimerai faire évoluer
mon système pour que des utilisateurs puissent proposer des news/articles.

Évidement, comme le système de news accepte le html pour la mise en forme (CKEditor), il est un peu chiant de sécuriser le tout pour qu'il accepte le html, mais empêche le javascript.
j'ai quelques petites idées mais j'aurrai aimer avoir votre avis, vos conseils

1] interdir tout bonnement le html avec striptag, via un système à la BBcode, et un mysqlescape contre les injections
peut être un poil lourd a mètre en place, surtout qu'il va falloir que je convertisse les articles déjà existant...

2] passer un strip_tags($text, "<div><span><br><a><img>") puis l'escape mysql...
plus simple à mettre en place, mais j'ai un peu peur de ce qui pourrait arriver avec un <img onload='...'/> ou <a onclick='...'/>

Si vous avez d'autres idées, je prends

Bon, dans tout les cas il y aurra vérification de ma part du html avant la publication, et avec mon firefox+noscript je suis protégé contre les xss,
Mais par la suite je compte utiliser mon site comme CMS et donc distribuer l'appli et j'aimerai protéfé cette partie pour qu'un webmaster débutant et non connaisseur ai le minimum de verification à faire.

Merci bien : D

Oui ... xD
je parle dans l'absolue bien sur.

Imaginons, pour l'exemple, j'insiste, que je veuille pirater la NASA et l'US-ARMY (ouais j'suis un ouf moa ):  quels serraient les meilleurs moyens de pouvoir dormir sur ces deux oreilles sans s'attendre à se faire réveiller par des hommes en costume avec des petites lunettes noir ^^

Essaye la camionette avec les paraboles...

J'aime bien le concept, j'y penserai
Encore que... question de moyen... faut que l'opération soit rentable xD

Mais tu risque de pas trouver grand chose quand tu utiliseras tout ça, on en est au même point sur les épreuves de hk, et ce sont des failles qui n'existent (presque) plus

Heu... la... simplement pas compris ^^
Comment ça pas trouver grand chose en utilisant tout ça ?
de quel failles parles tu ? les grandes classiques ? (xss include sql ...) Nan pas'que, je trouve qu'on en trouve beaucoup encore ^^


Merci

Bonjour à tous.

Et bien voila, après avoir pas mal arpenté les challenges de NC, j'ai eu envie de m'aventurer en dehors du site afin de tester mes nouvelles connaissances.

Il n'y à encore pas très longtemps, j'ai fais remonter une faille de sécu qui se trouvait sur zd***fr (qui n'a d'ailleurs que partiellement été corrigé); et quelques temps après avoir avertis l'administrateur, n'ayant pas eu de réponse, j'ai eu peur d'être tombé sur un c** qui aurait pu m'en vouloir (cela n'a pas été le cas, heureusement ^^), même si je n'ai abordé aucun exploit.

N'ayant pas de mauvaise intention je ne m'étais pas protégé avant d'entamer ma recherche de faille, et c'est là que j'ai compris mon erreur; car même sans mauvaise intentions, la recherche de faille est considéré au même niveau qu'un exploit au niveau de la loi.

Donc voila, je cherche de bon tutos, bonne pratiques à avoir lors de période de test.

Sachant que j'aimerai faire un récapiulatif d'ici quelque temps.
Pour ma part je prévois:

- WarDriving:

• Un Ordinateur portable
• Une connexion wifi mal sécurisé (sans protec/wep) à proximité
• Une voiture confortable pour se poser loin de chez soi

Ou à la place y'a le wifi du macdo ^^, si la mac est changé je suppose qu'il y a peu de risque ?


- Cacher ses adresses:

• Une MAC changée (macchanger)
• Une IP forwardée: MultiProxy Dynamique: tor+privoxy

- OS Spécialisé:

• Nubuntu/Backtrack
• Un OS portable (sur clé persistante ou sur CD: ça ce jette ^^)

Et... et.... ?? et quoi ??  
C'est à vous !

Bonjour à tous
Voici mon premier post sur ce forum

Tout d'abord, Bien joué à tous pour ces épreuves aussi réalistes.
Etant programmeur au travail, j'ai l'habitude d'avoir des demandes de programmation peu claire, donc, pour la plupart des cas, l'explication donnée ici est d'une limpidité appréciable.

Mais là... j'avoue je bloque, et c'est rare
Il faut dire que je débute le python hehe.

Le soucis que j'ai ici est bizarre:
Tout me parait (!ME PARAIT, je sais ^^!) être correct, du fait qu'après avoir échoué lamentablement 2 ou 3 fois j'ai décidé de copier l'input du programme, et de vérifier à la main pour 2-3 cas différents.
Et bien le soucis, c'est que même sans regarder le résultat de mon programme, je trouve le même résultat à la main, et pourtant non.. ça refuse de fonctionner ^^

J'aurai aimé quelques précisions, si possible, comme par exemple: faut il renvoyer le nom tout en minuscule, ou faut il bien laisser la majuscule ? faut il ajouter des nombres après la virgule (normalement inexistante) ou autre chose ?

Je continue à chercher de mon coté,
J'espère ne pas avoir dérogé au règlement dans ce premier post ^^
Merci

Edit: Ah bah c'est bon j'ai trouvé mon erreur
je n'ai pas encore valider mais ça arrive ^^
Hihi, c'est fait

==> pas de feinte, le nom garde ça majuscule, et pas de virgule ^^ juste ?prenom=Robertdeniro&prix=666